Eles podem ser conexões JMX. O JMX usa uma porta fixa e uma porta aleatória. Não tenho certeza se um novo cliente recebe uma nova porta. Veja como os mports estão abertos antes que qualquer conexão JMX seja feita, em comparação com depois de uma conexão JMX ser feita.
Outra possibilidade é o agrupamento. Se você habilitar o cluster que fará com que mais alguns soquetes sejam abertos.
Qualquer outra coisa é gerada pelo aplicativo. Tente desativar os aplicativos para ver quais portas de acionamento abrir.